IE发现新的零日攻击漏洞 用户可采取缓解措施

11月4日消息，微软发布警告称，黑客正在对IE一个新的零日攻击漏洞进行新一轮的有针对性恶意软件攻击。这个安全漏洞能够让黑客实施远程执行任意代码攻击和路过式下载攻击。

微软在安全公告中称，这个安全漏洞是由于IE浏览器中的一个非法的标记参考引起的。在某种情况下，在一个对象被删除之后仍然可以访问这个非法的标记参考。在一个特别策划的攻击中，黑客试图访问一个释放的对象，造成IE浏览器允许远程执行代码。

据赛门铁克的Vikram Thakur说，在混合攻击者可以利用这个IE漏洞。混合攻击把社会工程学和路过下载方式结合起来向被感染的计算机中安装后门木马程序。

虽然这个安全漏洞是针对IE 6和IE 7的，但是，微软明确表示这个安全漏洞还影响到在所有的支持版本的Windows上运行的IE 8浏览器。微软说，IE 9测试版不受这个安全漏洞的影响。

在没有安全补丁的情况下，微软建议IE用户采取如下措施：采用用户定义的CSS（层叠样式表单）覆盖网站CSS风格；应用增强的缓解体验工具；启用IE 7的数据执行保护功能；以纯文本格式阅读邮件；把互联网和本地内部网安全区设置为“高”，在这些区域封锁ActiveX控件和Active脚本。

微软在安全公告（编号2458511）中提供了使用这些缓解措施的方法。